안전한 모바일 코딩

보안 코딩은 기본적으로 공격에 견디는 앱을 작성하는 것입니다.

모바일 환경에서는 처음부터 안전한 데이터 처리, 신중한 네트워킹, 방어적인 설계를 결합해야 합니다.

사용자나 네트워크에서 들어오는 데이터를 절대 신뢰하지 마십시오.

인젝션과 충돌을 방지하려면 사용하기 전에 모든 입력을 검증하고 정제하십시오.

모든 네트워크 트래픽은 TLS를 사용하는 HTTPS를 통해 전송되어야 합니다.

이렇게 하면 공용 Wi-Fi와 같은 신뢰할 수 없는 네트워크에서 데이터가 읽히거나 변경되는 것을 막을 수 있습니다.

인증서 고정은 앱이 특정 서버 인증서만 신뢰하도록 합니다.

이를 통해 공격자가 가짜이지만 유효해 보이는 인증서를 제시하는 중간자 공격을 차단할 수 있습니다.

토큰과 키는 Keystore 또는 Keychain에 보관하고, 평문 파일에는 절대 저장하지 마십시오.

직접 저장해야 하는 민감한 데이터는 모두 암호화하십시오.

앱에 정말 필요한 권한만 요청하십시오.

권한이 적을수록 앱이 침해되었을 때 위험에 노출되는 데이터가 줄어들고, 사용자의 신뢰도 높아집니다.

가격, 잔액, 접근 권한과 같은 중요한 검사는 반드시 서버에서 실행되어야 합니다.

앱을 역공학할 수 있는 사람이라면 누구나 클라이언트 측 검사를 우회할 수 있습니다.

오류 메시지에 내부 세부 정보가 드러나서는 안 됩니다.

세부 정보는 비공개로 기록하되, 사용자에게는 일반적이고 안전한 메시지만 표시하십시오.

타사 라이브러리에는 취약점이 포함될 수 있습니다.

종속성을 추적하고 정기적으로 업데이트하며, 더 이상 사용하지 않는 종속성은 제거하십시오.

유효 기간이 짧은 토큰을 사용하고 안전하게 갱신하십시오.

활동이 없으면 사용자를 로그아웃시키고 로그아웃할 때 토큰을 폐기하여 도난당한 세션이 영원히 유지되지 않도록 하십시오.

보안은 출시 시점에 끝나지 않습니다. 보안 테스트를 실행하십시오. 정적 검사, 종속성 검사, 침투 테스트를 수행해야 합니다.

사용자가 앱을 설치하기 전에 발견된 문제를 해결하십시오.

가격이나 접근 권한과 같은 중요한 검사를 클라이언트가 아니라 서버에서 실행해야 하는 이유는 무엇입니까?

모바일 보안 코딩에는 입력 검증, 인증서 고정과 함께 TLS 사용, 비밀 정보의 안전한 저장, 권한 최소화, 서버에서의 로직 강제, 신중한 오류 처리, 종속성 업데이트, 세션 보호, 출시 전 테스트가 포함됩니다.